一种可信网卡的设计方法及其组网方法技术

本发明专利技术公开了一种可信网卡的设计方法及其组网方法，其中涉及的一种可信网卡的设计方法，可信网卡包括发送通路、接收通路；发送通路和接收通路中均包括可信网卡的数据面、可信网卡的控制面；其中，可信网卡的控制面由可信管理服务器管理，可信网卡的数据面由客户终端操作；可信网卡的控制面具有可信管理服务器提供的第一独立身份信息，可信网卡的控制面使用第一独立身份信息向可信管理服务器申请加入可信域，并实现域密钥、客户终端和数据队列的绑定关系、数据报文中身份检查方法、完整性校验值、加密通信密钥、其它协议的配置；可信网卡的数据面用于实现客户终端对数据报文的收发。数据面用于实现客户终端对数据报文的收发。数据面用于实现客户终端对数据报文的收发。

【技术实现步骤摘要】
一种可信网卡的设计方法及其组网方法


[0001]本专利技术涉及计算机
，尤其涉及一种可信网卡的设计方法及其组网方法。

技术介绍

[0002]互联网在设计之初对安全问题考虑不足，造成网络成为黑客实施系统攻击的重要途径。为了达到防止外部攻击的目的，目前的方案大都遵从“堵漏洞、作高墙、防外攻”的建设样式，以共享信息资源为中心，附加补丁的机制，在外围对非法用户和越权访问进行封堵。当前安全系统变得越来越臃肿，严重地降低了网络性能，甚至破坏了系统设计开放性、简单性的原则。
[0003]业界需要新的理念和思路来解决网络的安全与性能问题，可信网络在这种背景下被提出。可信网络的核心是身份可信和行为可信。这其中，由于记录跟踪都需要用到身份信息，所以身份信息是核心，802.1X提供了身份认证的方式，但是一旦认证通过以后，后续报文的发送是不受控制的。这可能导致黑客在利用被攻破的内部账户认证后，伪造成他人进行后续攻击。所以需要动态对数据报文的身份进行核查，在更细粒度提供安全保障。
[0004]针对上述技术问题，本专利技术提供一种可信网卡的设计方法及其组网方法。

技术实现思路

[0005]本专利技术的目的是针对现有技术的缺陷，提供了一种可信网卡的设计方法及其组网方法。
[0006]为了实现以上目的，本专利技术采用以下技术方案：
[0007]一种可信网卡的设计方法，可信网卡包括发送通路、接收通路；发送通路和接收通路中均包括可信网卡的数据面、可信网卡的控制面；其中，可信网卡的控制面由可信管理服务器管理，可信网卡的数据面由客户终端操作；
[0008]可信网卡的控制面具有可信管理服务器提供的第一独立身份信息，可信网卡的控制面使用第一独立身份信息向可信管理服务器申请加入可信域，并实现域密钥、客户终端和数据队列的绑定关系、数据报文中身份检查方法、完整性校验值、加密通信密钥、其它协议的配置；
[0009]可信网卡的数据面用于实现客户终端对数据报文的收发。
[0010]进一步的，所述客户终端具有可信管理服务器提供的第二独立身份信息。
[0011]进一步的，所述第一独立身份信息、第二独立身份信息均包括身份ID、验证身份ID的密钥、身份验证方法。
[0012]进一步的，所述配置前还包括：可信网卡与可信管理服务器进行双向身份信息认证，当可信网卡与可信管理服务器都通过认证后，可信管理服务器向可信网卡发送配置命令，可信网卡接受所述配置命令。
[0013]进一步的，所述发送通路还包括发送数据队列、身份检查部件、完整性校验值生成部件；接收通路还包括接收数据队列、完整性校验值对比部件。
[0014]进一步的，所述可行网卡的控制面板配置好客户终端和数据队列的绑定关系后，客户终端发送数据报文时，可信网卡的发送通路检查客户终端发送的数据报文，若数据报文中所携带的身份信息与当前客户终端的身份信息不符，则可信网卡丢弃数据报文并记录异常。
[0015]进一步的，所述可信网卡的控制面配置好完整性校验值时，客户终端发送数据报文时完整性校验值由域密钥进行加密，客户终端接收数据报文时完整性校验值由域密钥进行解密。
[0016]进一步的，所述可信网卡的接收通路检查域密钥的解密结果是否成功，若否，则可信网卡丢弃数据报文并记录异常。
[0017]相应的，还提供一种可信网卡的组网方法，可信网络包括可信管理服务器、交换机、客户服务器、可信网卡、客户终端，交换机分别与可信管理服务器、客户服务器通信连接，可信网卡为客户服务器的可信远端部件，客户终端运行在客户服务器上。
[0018]进一步的，所述可信管理服务器管理域密钥，处于同一个可信域内的可信网卡共享同一个域密钥；且第一身份信息、第二身份信息在组网时静态增删，或者通过约定的协议动态增删。
[0019]与现有技术相比，本专利技术通过动态对数据报文进行身份检查，可以保证数据报文来源的真实性，使得网络上对恶意攻击报文的记录追踪成为可能。从而简化因不信任带来的监控、防范等系统的开销，提高系统的整体性能。本专利技术可以利用现有的交换机和线网，除了可信网卡外不需要重建网络基础设施。
附图说明
[0020]图1是实施例一提供的一种可信网卡的设计方法示意图；
[0021]图2是实施例二提供的一种可信网卡的组网方法示意图；
[0022]图3是实施例二提供的加入同一可信域的可信网络示意图。
具体实施方式
[0023]以下通过特定的具体实例说明本专利技术的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本专利技术的其他优点与功效。本专利技术还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本专利技术的精神下进行各种修饰或改变。需说明的是，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。
[0024]本专利技术的目的是针对现有技术的缺陷，提供了一种可信网卡的设计方法及其组网方法。
[0025]实施例一
[0026]本实施例提供的一种可信网卡的设计方法，如图1所示，可信网卡包括发送通路、接收通路；发送通路和接收通路中均包括可信网卡的数据面、可信网卡的控制面；其中，可信网卡的控制面由可信管理服务器管理，可信网卡的数据面由客户终端操作；可信网卡的控制面具有可信管理服务器提供的第一独立身份信息，可信网卡的控制面使用第一独立身份信息向可信管理服务器申请加入可信域，并实现域密钥、客户终端和数据队列的绑定关
系、数据报文中身份检查方法、完整性校验值、加密域密钥、其它协议的配置；可信网卡的数据面用于实现客户终端对数据报文的收发。
[0027]传统上，网卡作为客户服务器的一个部件，由客户服务器发起配置，为客户终端提供网络服务。本实施例将可信网卡作为可信管理服务器的可信远端部件，由可信管理服务器进行管理和配置。在可信网卡设计中，将控制面和数据面进行分离，控制面由可信管理服务器管理，数据面由客户终端操作收发报文。
[0028]数据面由客户终端操作收发报文：在客户身份经可信管理服务器认证通过后，控制面根据可信管理服务器配置，将数据队列分配给客户终端。客户终端操作数据队列来收发数据报文。
[0029]数据面和控制面分离的特征是：用户终端可以通过可信网卡提供的数据面接口操作数据报文的收发。可信网卡的控制面配置由可信网络管理员发起。
[0030]发送通路还包括发送数据队列、身份检查部件、完整性校验值生成部件；接收通路还包括接收数据队列、完整性校验值对比部件；其中发送数据队列、接收数据队列均属于数据面中的内容。发送数据队列由客户终端操作；控制面记录控制面身份信息、发起可信域加入请求、接受配置；身份检查部件执行对发送数据报文的身份检查；完整性校验值部件生成加密后的摘要。
[0031]可信网卡的控制面具有由可信管理服务器授予的第一独立身份信息，可信网卡的控制面使用这个第一独立身份信息向可信管理服务器申请加入可信域，并进行后续的配置；其中，加入同一个可信域本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种可信网卡的设计方法，其特征在于，可信网卡包括发送通路、接收通路；发送通路和接收通路中均包括可信网卡的数据面、可信网卡的控制面；其中，可信网卡的控制面由可信管理服务器管理，可信网卡的数据面由客户终端操作；可信网卡的控制面具有可信管理服务器提供的第一独立身份信息，可信网卡的控制面使用第一独立身份信息向可信管理服务器申请加入可信域，并实现域密钥、客户终端和数据队列的绑定关系、数据报文中身份检查方法、完整性校验值、加密通信密钥、其它协议的配置；可信网卡的数据面用于实现客户终端对数据报文的收发。2.根据权利要求1所述的一种可信网卡的设计方法，其特征在于，所述客户终端具有可信管理服务器提供的第二独立身份信息。3.根据权利要求2所述的一种可信网卡的设计方法，其特征在于，所述第一独立身份信息、第二独立身份信息均包括身份ID、验证身份ID的密钥、身份验证方法。4.根据权利要求1所述的一种可信网卡的设计方法，其特征在于，所述配置前还包括：可信网卡与可信管理服务器进行双向身份信息认证，当可信网卡与可信管理服务器都通过认证后，可信管理服务器向可信网卡发送配置命令，可信网卡接受所述配置命令。5.根据权利要求2所述的一种可信网卡的设计方法，其特征在于，所述发送通路还包括发送数据队列、身份检查部件、完整性校验值生成部件；接收通路还包括接收数据队列、完整性校验值对比部...

【专利技术属性】
技术研发人员：张宇弘，
申请(专利权)人：杭州熠芯科技有限公司，
类型：发明
国别省市：